1.1 Hvilke typer. personopplysninger samles inn? 1. Personvern i Bulder Bank. Generelle opplysninger. Formue, inntekt og likviditet.

Transkript

1 1. Personvern i Bulder Bank Bulder Bank («banken») er en del av Sparebanken Vest. Behandlingsansvarlig Behandlingsansvarlig for personopplysninger i Sparebanken Vest er Administrerende direktør. Adresse: Jonsvollsgaten 2, 5011 Bergen E-post: sparebanken.vest@spv.no Telefon: Organisasjonsnummer: Du kan nå personvernombudet i banken ved å sende en e-post til personvernombudet@spv.no Personopplysninger er alt som direkte eller indirekte kan knyttes til deg som person, slik som navn, adresse eller fødselsnummer. Når du er i kontakt med oss eller benytter deg av våre tjenester vil vi behandle personopplysninger om deg. Det er du som bestemmer over dine opplysninger. Her finner du informasjon om hvordan vi i banken ivaretar ditt personvern i samsvar med GDPR, hvorfor vi gjør dette og hvilke rettigheter du har. 1.1 Hvilke typer personopplysninger samles inn? Overordnede opplysninger Opplysninger som er alminnelig kjent i personens omgangskrets, eller som det kan antas at ikke vil være problematisk at blir kjent i personens omgangskrets. Dette kan eksempelvis være navn, fødselsdato og nummer, kontaktinformasjon, sosial status (gift/skilt/osv.), relasjoner (barn, foreldre, verge, medlemskap (unntatt de som kan avsløre sensitive personopplysninger)), næringskode, kjønn og statsborgerskap. Generelle opplysninger Generelle opplysninger om rettigheter og plikter mellom banken og personen. Dette innebærer hvilke produkter en kunde har. Det kan være disposisjonsforhold, kontonummer, terminlengde, løpetid og dato for inngåelse av avtale. Formue, inntekt og likviditet Dette er opplysninger om økonomisk handlingsrom. Det kan være verdi av og egenskaper ved eiendeler, inntekter, innskuddsrente, avkastning, kredittramme, pantsettelser, kausjonsansvar, omsetning og resultat i budsjett og regnskap, regnskapsopplysninger eller skatteopplysninger. Forbruk Opplysninger om kostnader, slik som betalingstransaksjoner, fakturaer, terminbeløp, kredittrente, kjøpskvitteringer, forsørgeransvar eller utgifter i budsjett og regnskap. Kredittverdighet og mislighold Opplysninger om betalingsevne og -vilje. Dette kan innebære betalingsanmerkninger, overtrekk, purringer, scoring i kredittvurdering, predikert mislighold, tapsnedskrivinger eller utlegg og arrest i verdier. Det kan også omfatte informasjon om usikret forbruksgjeld innhentet fra gjeldsregistreret. Adferd Opplysninger om fysiske eller digitale handlinger eller tilstedeværelse. Denne kategorien omfatter ikke opplysninger som

2 faller inn under kategorien Forbruk. Slike opplysninger kan eksempelvis være systemlogger eller sporing på nettsider. Ferdigheter Opplysninger om kunnskap, erfaring og utdanning. 1.2 Hvordan samler vi inn personopplysninger om deg? Opplysninger fra deg De fleste personopplysningene vi registrerer om deg vil innhentes direkte fra deg som kunde i forbindelse med at du tar i bruk ulike banktjenester og produkter. Dersom banken ønsker å innhente opplysninger fra deg som ikke er nødvendige for ivaretakelse av avtaleforholdet, skal banken først informere deg om at det er frivillig å gi fra seg opplysningene og hva opplysningene vil bli brukt til. For å kunne tilby deg banktjenester og produkter må vi innhente noen personopplysninger. Banken vil registrere opplysninger om deg og andre personer med tilknytning til avtaleforholdet, som disponenter. Opplysningene samles inn både før avtaleinngåelse, ved avtaleinngåelse og under det løpende avtaleforholdet. I tillegg vil banken registrere opplysninger om personer som banken har gitt avslag til. Dette er for å kunne underrette vedkommende om avslaget og eventuelt i ettertid kunne dokumentere forholdet med en saklig begrunnelse. I første rekke bruker vi personopplysninger til kundeadministrasjon, fakturering og for å oppfylle de forpliktelser som banken har påtatt seg for gjennomføring av oppdrag og tjenesteavtaler med våre kunder. Banken vil behandle personopplysninger i den grad lovgivningen pålegger eller gir banken adgang til. Banken vil også behandle personopplysninger der vi har fått samtykke. Kundeoppfølging og markedsføring Opplysningene hentes inn fra tredjeparter Dersom vi samler inn opplysninger fra tredjeparter, som andre banker, finansforetak eller kredittopplysningsforetak, så vil du bli varslet om dette, med mindre innsamlingen er lovbestemt, varsling er umulig eller uforholdsmessig vanskelig eller det er på det rene at du allerede kjenner til den informasjon varselet vil inneholde. Opplysningene samles inn ved bruk av cookies Les mer om bruk av informasjonskapsler (cookies) 1.3 Hvorfor behandler vi personopplysninger om deg? Kundeadministrasjon Generell markedsføring Banken kan benytte ditt navn, kontaktopplysninger, fødselsdato og hvilke tjenester eller produkter du har inngått avtale om til markedsføring. Du kan ved henvendelse til banken kreve at ditt navn ikke blir brukt til markedsføring. Hvis du ikke ønsker markedsføring vil du kun motta henvendelser som gjelder oppfølging av avtaleforholdet. Kundeoppfølging og markedsføring Generell markedsføring Banken kan benytte ditt navn, kontaktopplysninger, fødselsdato og hvilke tjenester eller produkter du har inngått avtale om i markedsføringen vår til deg.

3 Du kan ved henvendelse til banken kreve at ditt navn ikke blir brukt til markedsføring. Hvis du ikke ønsker markedsføring vil du kun motta henvendelser som gjelder oppfølging av avtaleforholdet. Tilpasset markedsføring Hvis du har samtykket til persontilpasset markedsføring vil vi kunne benytte opplysninger vi har om deg og hvordan du bruker banken for å kunne gi deg mer relevante råd og anbefalinger. Informasjon som inngår i slik tilpasset markedsføring kan blant annet omfatte: Transaksjoner og estimerte fremtidige betalinger Forbruksmønster (inntekt, gjeld osv.) Aktiviteter i Bulder bank sin app (for eksempel informasjon om at du har begynt på en søknad eller prosess uten å fullføre). Aktiviteter på Bulder bank sin nettside (for eksempel informasjon om at du har lest mye om boliglån på Bulder.no, men ikke fullført søknad). Demografiske variabler (alder, kjønn, osv) Informasjon om hvilke produkttyper du har. for kredittgivning og kredittstyring, kontrollmekanismer, IT-systemer og interne retningslinjer som er knyttet til klassifisering og kvantifisering av institusjonens kredittrisiko og annen relevant risiko. Personopplysninger for dette formålet vil kunne innhentes fra kredittopplysningsforetak Konsernkunderegister Bulder Bank er en del av Sparebanken Vest, og er ikke et eget finansforetak. Bank som samarbeider med andre selskaper innenfor samme finanskonsern kan ha et felles kunderegister. Dette gjelder bl.a. for eiendomsmeglerforetak og boligkredittforetak. Formålet med konsernkunderegisteret er å administrere kundeforholdet og samordne tilbudet av tjenester og rådgivning fra de forskjellige selskapene i konsernet. Konsernkunderegisteret vil inneholde nøytrale opplysninger om deg som navn, fødselsdato, adresse og kontaktopplysninger, opplysninger om hvilket konsernselskap du er kunde i og hvilke tjenester og produkter du har avtale om. Fødselsnummer kan utleveres til og registreres i felles konsernkunderegister når formålet er administrasjon av kundeforhold. Risikoklassifisering av kunder og kredittporteføljer Banken vil etter regler i finansforetaksloven behandle kredittopplysninger og andre personopplysninger i forbindelse med etablering og bruk av systemer for beregning av kapitalkrav for kredittrisiko. Med systemer for interne målemetoder menes her bankens modeller, arbeids- og beslutningsprosesser Kundeautentisering ved bruk av elektroniske tjenester Når du benytter deg av bankens elektroniske tjenester, vil banken registrere brukeradferd og miljø for å kunne identifisere avvik. Dette innebærer at banken identifiserer hvilken datamaskin eller mobil enhet du bruker når du benytter bankens tjenester. Denne informasjonen brukes som en sikkerhetsmekanisme for banken,

4 eksempelvis ved at det gir banken mulighet til å kontrollere at du er den du utgir deg for å være. Banken kan også bruke denne informasjonen som del av en risikovurdering for å tilpasse autentiseringsmetoden du som kunde bruker for å benytte tjenesten. Databehandlere som benyttes: BankID Norge (en del av Vipps AS) Kartvising av transaksjoner Banken viser deg en oversikt over hvor dine transaksjoner er gjort på kartet i din app. For å gjøre dette deler banken anonymisert og vasket transaksjonsinformasjon med en tredjepartsleverandør, Google, som i retur gir banken informasjon om den geografiske plasseringen til transaksjonen. At banken anonymiserer og vasker informasjon fra dine transaksjoner, betyr i dette tilfellet at banken fjerner all informasjon knyttet til både deg og transaksjonen annet enn en tekst som kan representere et sted hvor transaksjonen er gjort, før informasjonen deles med tredjepartsleverandør. Eksempel på slik tekst som deles er: «Kiwi Vaskerelven, Vaskerelven Bergen». På denne måten kan banken vise deg informasjon om hvor du har gjort dine transaksjoner, uten å dele dine personopplysninger med Google. Det er banken selv som kobler den geografiske posisjonen som kommer i retur med ditt kart. Kartvisning av dine transaksjoner er ikke koblet til din geolokasjon og henter ikke slik lokasjonsinformasjon fra din mobil. Det betyr at du kan ha stedstjenester skrudd av på mobilen uten at det påvirker kartvisningen Bruk av Push-varslinger For å kunne gi deg en god kundeopplevelse, vil banken sende varslinger til din mobiltelefon, eksempelvis dersom du har mottatt en e-faktura til betaling. Et slikt varsel vil kunne inneholde personopplysninger. I det konkrete eksempelet med e-fakturavarsel, vil varselet inneholde navn på fakturamottaker og beløp. Du kan selv administrere dette på din mobiltelefon ved enten å aktivere eller deaktivere pushvarsling. Hvis pushvarsling er aktivert, vil varslingen vises på låst skjerm. For å kunne nyttiggjøre oss denne tjenesten benytter banken en tredjepartsleverandør, Google, som vil pushe varselet videre til din mobiltelefon. I den forbindelse vil Google motta opplysninger som er nødvendig for å gjennomføre varslingen. Forebygging og avdekking av straffbare handlinger Banken vil behandle personopplysninger med formål å forebygge, avdekke, oppklare og håndtere bedragerier og andre straffbare handlinger rettet mot deg, andre kunder eller banken. Opplysninger innhentet med dette formål vil også kunne bli innhentet fra og utlevert til andre banker og finansinstitusjoner, politiet og andre offentlige myndigheter. Opplysningene som registreres vil kunne oppbevares inntil ti år etter registreringen. Banken vil behandle personopplysninger for å forebygge og avdekke transaksjoner med tilknytning til utbytte fra straffbare handlinger eller med tilknytning til terrorfinansiering. Banken er pålagt undersøkelses- og rapporteringsplikt for mistenkelige transaksjoner etter hvitvaskingsloven. Banken er videre pålagt å rapportere mistenkelige opplysninger og transaksjoner til Økokrim. Slik informasjon vil banken oppbevare i fem år etter avslutning av kundeforholdet. Type personopplysninger som behandles: Overordnede opplysninger, Generelle avtaleopplysninger, Formue, inntekt og likviditet, Forbruk, Kredittverdighet

5 og mislighold, Adferd, Ferdigheter, Misligheter, Særlige kategorier av persondata og Straffedommer og lovovertredelse. Databehandlere som benyttes: Evry, Idemia, Secana Lydopptak I tilknytning til ytelse av investeringstjenester er banken som verdipapirforetak forpliktet til å foreta lydopptak av alle telefonsamtaler samt å dokumentere annen kundekommunikasjon (e-post, chat, MSN mv). Slike lydopptak av samtaler til/fra fasttelefon og mobiltelefon samt dokumentasjon av annen type kommunikasjon med kunden, oppbevares i tre år. Lydopptaket vil kunne gjenfinnes av banken på grunnlag av inngående og utgående telefonnummer, tidspunktet for samtalen og/eller ansatte hos banken/foretaket som utførte samtalen. Kommunikasjon gjennom andre kommunikasjonskanaler vil kunne gjenfinnes på grunnlag av kundens identitet, tidspunkt for kommunikasjon og ansatte hos banken/foretaket som utførte kommunikasjonen. For å gi deg mulighet til å dokumentere melding om tap av betalingsinstrument, vil banken eller den meldingstjeneste banken tilbyr, kunne gjøre lydopptak av slike meldinger. Lydopptaket vil i så fall bli oppbevart i 18 måneder. 1.4 Utleverer banken dine personopplysninger? Banker og finansforetak Dersom lovgivningen tillater det og bankens taushetsplikt ikke er til hinder, vil personopplysninger også kunne bli utlevert til andre banker og finansforetak samt samarbeidspartnere for bruk innenfor de formål som er angitt for behandlingen. Utlevering vil også kunne skje til andre parter som er involvert i en betalingstransaksjon så langt dette er nødvendig for å gjennomføre transaksjonen på en sikker måte. Overføring av personopplysninger til bankens databehandlere anses ikke som utlevering. Samarbeidspartnere Banken vil også utlevere personopplysninger til annet foretak i konsernet eller konserngruppen, så fremt utlevering er nødvendig for å tilfredsstille konsernbaserte styrings-, kontroll- og/eller rapporteringskrav fastsatt i lov, eller i medhold av lov. Det forutsettes at behandlingen av personopplysningene er underlagt taushetsplikt i det foretaket opplysningene utleveres til. Internasjonale betalinger Ved utføring av betalingsoppdrag til eller fra utlandet vil tilhørende personopplysninger bli utlevert utenlandsk bank og/eller dennes medhjelper. Offentlige myndigheter Personopplysninger om deg vil bli utlevert til offentlige myndigheter og andre utenforstående når dette følger av lovbestemt opplysningsplikt eller opplysningsrett. 1.5 Blir opplysningene overført til utlandet? Rettslig forpliktelse Banken utleverer dine personopplysninger til land utenfor EU/EØS-området dersom banken er pålagt av norsk rett til å overføre dine personopplysninger til utenlandske offentlige myndigheter. Et eksempel er overføring av personopplysninger til amerikanske skattemyndigheter (FATCAregelverket). Internasjonale betalinger

6 Banken utleverer dine personopplysninger til land utenfor EU/EØS-området dersom du som kunde ønsker å gjøre en internasjonal betaling. Når du overfører penger til utlandet vil personopplysninger som er nødvendig for å kunne gjennomføre betalingen bli overført til utenlandsk bank. 1.6 Bruker Bulder Bank databehandlere? Slik bruker vi databehandlere En databehandler er en virksomhet som behandler personopplysninger på vegne av en annen virksomhet, den såkalt behandlingsansvarlige. Bulder bruker databehandlere til å samle inn, lagre eller på annen måte behandle personopplysninger. I slike tilfeller vil banken inngå avtaler med databehandler for å sikre at behandlingen av opplysningene er i samsvar med personvernregelverket og bankens krav til behandling av personopplysninger. Bruken av databehandlere er ikke å regne som en utlevering av personopplysninger. Bulder bank bruker databehandlere innenfor: Kundesystemer Lån og finansiering Betalinger Sparing og plassering Systemer for å dekke støtteprosesser og teknisk infrastruktur Systemer for samhandling Systemer for push-varsling til brukeres mobiltelefoner 1.7 Bruk av persondata og lagringstid Regulering av bankens behandling av personopplysninger Banken er underlagt personopplysningsloven og personvernforordningen General Data Protection Regulation (GDPR) 2016/679 ved sin behandling av personopplysninger. Banken følger også gjeldende bransjenormer for behandling av personopplysninger i bank og kredittforetak. Avtale Det meste av persondata vi behandler er for å oppfylle en avtale med deg. Avtalen blir da det rettslige grunnlaget. Rettslige forpliktelser Banken behandler noen opplysninger for å svare på rettslige forpliktelser, slik som Krav til oppbevaring og lagring, for eksempel bokføringsloven Tilrettelegging av sikker bruk av persondata Bransjespesifikke lover, eller lover knyttet til de tjenester og produkter vi tilbyr, herunder boliglånsforskriften, finansavtaleloven, finansforetaksloven og verdipapirhandelloven Rapportering til tilsynsmyndigheter og bedrageri, slik som hvitvaskingsloven Krav til interne rutiner, kontroller og rapportering, slik som forskrift om risikostyring og kontroll, samt regnskapsloven Berettiget interesse I tilfeller hvor det for banken er nødvendig å behandle persondata, men hvor behandlingen ikke er basert på en avtale eller en lov, så vil banken bruke berettiget interesse som behandlingsgrunnlag. Dette betyr at bankens interesse er vurdert som større enn nedsiden for personvernet. I slike tilfeller må banken ha et lovlig formål, interessen må tydelig være definert på forhånd og banken må ha en saklig begrunnelse for å benytte persondata.

7 Samtykke Dersom vi ikke har andre behandlingsgrunnlag, så vil vi innhente samtykke fra deg. Behandling av persondata basert på samtykke er helt frivillig, og du skal vite hva det er du samtykker til. Samtykke kan når som helst trekkes tilbake, og da vil ikke banken lenger benytte disse personopplysningene. Banken vil slette eller anonymisere personopplysninger om deg når formålet med den enkelte behandling av oppfylt, med mindre opplysningene skal eller kan oppbevares utover dette som følge av lovgivningen. Dette betyr for eksempel at personopplysninger som vi behandler på grunnlag av ditt samtykke slettes, hvis du trekker ditt samtykke. Personopplysninger vi behandler for å oppfylle en avtale med deg slettes når avtalen er oppfylt og alle plikter som følger av avtaleforholdet er oppfylt. 1.8 Hva er mine rettigheter og hvordan bruker jeg disse? Dine rettigheter Vi passer godt på personopplysningene dine, og derfor er det viktig for oss at du er kjent med hvilke rettigheter du har. Du har rett til å kreve innsyn, korrigering eller sletting av personopplysningene vi behandler om deg. Du har videre rett til å kreve begrenset behandling, rette innsigelse mot behandlingen og kreve rett til dataportabilitet. Du kan kontakte banken direkte for å kreve innsyn i registrerte opplysninger, beskrivelse av hvilke typer opplysninger som behandles og nærmere informasjon om bankens behandling av opplysningene. Innsynsretten omfatter også elektroniske oppslag som ansatte i banken har foretatt i kontoer eller øvrige kundeengasjement. Innsynsretten i elektroniske oppslag er begrenset til et tidsrom på inntil tre måneder etter oppslaget. Ved særlige behov kan banken begrense antall ansatte i banken som skal ha tilgang til, og innsyn i personopplysninger. Utøvelse av rettigheter Du kan kontakte oss for å utøve dine rettigheter. Bruk dette skjemaet for å ta kontakt med oss. For at vi skal kunne gi deg svar må vi bekrefte identiteten din, slik at vi er sikker på at det kun er du som får tilgang til dine personopplysninger, og ikke andre som utgir seg for å være deg. Dersom du har samtykket til bruk av persondata kan du når som helst trekke tilbake dette samtykket. Du kan administrere dine samtykker i banken under «Mine ting» i «innstillinger» 1.9 Endringer og klage Endringer og klager Hvis du ønsker å oppdatere eller korrigere informasjon vi har om deg, kan du alltid ta kontakt med oss. Har vi informasjon om deg som du mener ikke lenger er relevant, kan du be om at denne informasjonen slettes. Merk at vi ifølge lov er forpliktet til å lagre noe informasjonen om deg, selv om du ikke er kunde hos oss lenger. Hvis det skulle skje endring av våre tjenester eller endringer i regelverket om behandling av personopplysninger, kan det medføre forandring i informasjonen du er gitt her må oppdateres eller endres. Oppdatert informasjon vil alltid finnes lett tilgjengelig på vår nettside.

8 Eventuelle klager på behandling av personopplysninger om deg, kan rettes til Datatilsynet. Du finner informasjon om dette på